Jiapeng Li

توجد ثغرة حقن تعليمات برمجية في الدالة ` evaluate filter()`. يمكن للمهاجمين عن بُعد تنفيذ تعليمات Python البرمجية من خلال الهروب من صندوق حماية `eval()` باستخدام `re.search globals `. يحدث هذا عن طريق إرسال تعبير تصفية مصمم خصيصاً إلى نقطة النهاية غير المصرح بها '/dumper/configure' عندما يتم تعيين المتغير `DUMPER SERVER PORT` ، مما يؤدي إلى تشغيل التعليمات البرمجية في عملية المجدول أثناء التمرير الأمامي التالي.

يمكن لمهاجم غير مصرح له التسبب في حالة رفض الخدمة عن طريق إرسال طلب إلى نقطة النهاية '/generate' يحتوي على الحقل `pd kv trans params`. يؤدي ذلك إلى فشل في دالة `pickle.loads` داخل `InferSamplingParams` مما يتسبب في تعطل خيط الاستنتاج. وبينما تظل نقطة النهاية '/health' تعمل، فإن جميع الطلبات اللاحقة ستتوقف عن الاستجابة حتى يتم إعادة تشغيل النظام.

توجد مشكلة تضخيم فك الضغط في الدالة `load audio()`. يمكن للمهاجمين عن بُعد التسبب في حالة رفض الخدمة عن طريق إرسال ملفات صوتية مضغوطة للغاية، مثل ملفات صمت صغيرة مشفرة بتنسيق FLAC، والتي يتم فك تشفيرها دون حدود للمدة أو العينات. تؤدي هذه العملية إلى توسيع الملفات إلى مخازن مؤقتة ضخمة من نوع PCM (تعديل كود النبضة)، مما يؤدي إلى استنفاد ذاكرة العامل وموارد وحدة المعالجة المركزية. يمكن تنفيذ الهجوم عبر مدخلات `audio url` أو `audio data`.

توجد مشكلة في تخصيص الذاكرة غير المحدود تسمح للمهاجمين عن بُعد غير المصرح لهم بالتسبب في حجب الخدمة. من خلال تحميل ملفات ذات أحجام ضخمة إلى نقطة النهاية '/v1/audio/transcriptions'، يمكن للمهاجمين إرسال عمليات تحميل multipart كبيرة ومتزامنة يتم قراءتها بالكامل في الذاكرة قبل التحقق من صحتها، مما يؤدي إلى تعطل عامل HTTP/tokenizer.

توجد مشكلة في تخصيص الذاكرة غير المحدود في دالة `preprocess video` داخل ملف `qwen vl.py`. يقوم النظام بفك تشفير إطارات الفيديو بدقة المصدر الكاملة قبل تطبيق حدود `max pixels`. يمكن للمهاجمين عن بُعد استغلال ذلك عن طريق إرسال مقاطع فيديو عالية الدقة إلى نقطة النهاية '/v1/chat/completions' في عمليات نشر Qwen-VL. يمكن أن تؤدي الطلبات المتزامنة من هذا النوع إلى استنفاد ذاكرة العامل، مما يتسبب في حجب الخدمة.

يسمح تجاوز ميزانية الموارد للمهاجمين عن بُعد بتخطي حدود معالجة الفيديو في GLM-V. من خلال تقديم قيم محددة في كائن `video url` ، يمكن للمهاجمين التلاعب بمتغيرات `fps` و `max frames` و `max tokens per frame` و `max image tokens`. يؤدي ذلك إلى قيام الدالة `glm4v.py` بفك تشفير كل إطار من فيديو عالي الدقة بالحجم الكامل، مما يؤدي إلى استنفاد ذاكرة العامل وتعطيل الخدمة.

توجد ثغرة تؤدي إلى حجب الخدمة حيث يقوم `NanoNemotronVLImageProcessor` بتعطيل حماية Pillow ضد قنابل فك الضغط على مستوى العملية بالكامل عن طريق تعيين `Image.MAX IMAGE PIXELS` إلى `None`. يتيح ذلك للمهاجمين عن بُعد إرسال صور صغيرة ومضغوطة للغاية بأبعاد ضخمة إلى محمل الصور العام، مما يؤدي إلى استنفاد ذاكرة العامل أثناء عملية فك التشفير. قنبلة فك الضغط هي ملف صورة أو ملف مضغوط خبيث مصمم لتعطيل النظام عن طريق التوسع إلى حجم هائل عند فك ضغطه.

Multimodal endpoints fail to validate the `image url` and `audio url` parameters, enabling unauthenticated attackers to conduct server-side request forgery (SSRF). This occurs when attackers provide arbitrary URLs to fetch internal resources, which can lead to the disclosure of content via vision model processing or the revelation of internal network topology through error responses.

The router profiler service contains a flaw that allows remote code execution when the application is started with the `--enable profiling` flag. The service exposes an unauthenticated RPyC server with pickle deserialization enabled. An attacker can execute arbitrary code by sending crafted serialized objects to the profiler command queue. Pickle deserialization is a process where a Python object is converted from a byte stream back into an object, which can be exploited to run malicious commands if the input is not trusted.

A memory exhaustion issue exists in the NCCL control channel when the software is started with the `--pd trans mode nccl` configuration. Unauthenticated attackers can exploit this by calling the `exposed set value()` method to store an unlimited number of key-value pairs without size restrictions. This action exhausts the memory of the KV-transfer worker, leading to a process crash and subsequent node failure.

Multimodal deployments expose an unauthenticated RPyC cache service with pickle deserialization enabled on all interfaces. This allows attackers to send crafted serialized objects to exposed cache methods to execute arbitrary code with service privileges. Pickle deserialization is a process where a Python object is converted from a byte stream back into an object, which can be exploited if the input is untrusted.

When operating in prefill/decode disaggregation mode with the Mooncake KV transfer backend, the software fails to validate duplicate `bootstrap room` fields in the '/generate' endpoint. Unauthenticated attackers can send concurrent requests using identical `bootstrap room` values, which can lead to the crashing of scheduler processes or cause other users' requests to hang until a transfer timeout occurs.

Remote code execution is possible in the KV-transfer worker when the service is started with the `--pd trans mode nccl` configuration. This configuration exposes an unauthenticated RPyC control channel via an RPyC ThreadedServer that deserializes attacker-supplied data. An attacker can send malicious pickled objects—serialized Python objects—to this channel to execute arbitrary code with the privileges of the LightLLM service account.

The Mooncake connector fails to properly manage GPU KV cache block ownership during prefill/decode disaggregated deployments when concurrent child requests share a single transfer ID. An attacker can cause GPU memory exhaustion by submitting completion requests containing multiple prompts. This action leads to the accumulation of orphaned KV cache blocks—memory blocks that are no longer associated with an active request but are not released—which persist until the process is restarted, eventually blocking legitimate requests from executing.

A denial of service issue exists in the NIXL connector's metadata handling for prefill/decode disaggregated deployments. An attacker can send requests containing incomplete `kv transfer params` dictionary entries, which triggers an uncaught KeyError during EngineCore scheduling. This results in the termination of the decode engine, causing all routed requests to fail until the system is manually restarted.

A denial of service issue exists in the NIXL connector's prefix caching implementation within prefill/decode disaggregated deployments. The system fails to properly validate block counts when processing multi-prompt completion requests. An attacker can cause the decode worker to terminate and remain unavailable until a restart occurs by submitting completion requests containing multiple prompts of varying lengths, which triggers an assertion failure in the `NixlBaseConnectorWorker. apply prefix caching()` function.

A denial of service issue exists in P2P KV offloading when the OffloadingConnector is configured with TieringOffloadingSpec and a peer-to-peer secondary tier. An attacker can provide arbitrary remote host and port values via the `kv transfer params` parameter to create unreachable peer sessions. These sessions retain ZeroMQ sockets until the context quota is exhausted, leading to an uncaught ZMQError that crashes EngineCore and halts all inference operations.

A resource exhaustion issue exists in the `MooncakeConnector` component. Rejected prefill requests generate ownerless transfer placeholders that are not reclaimed by the system. An attacker can exploit this by sending rejected requests to exhaust sender task pools, which results in valid requests being delayed by up to 480 seconds. During this state, health checks continue to report success, masking the issue.

OpenAI-compatible completion endpoints fail to validate the `tp size` parameter within `kv transfer params`. In prefill/decode disaggregated deployments, an attacker can provide arbitrary values for `tp size` to allocate unbounded memory, which can exhaust system resources and trigger a kernel OOM-kill (Out-Of-Memory kill, a process where the operating system terminates a process to free up memory) of the decode worker process.

A memory corruption issue exists in the Triton ` bincount kernel` function. The problem occurs when prompt token IDs index the penalty prompt-presence bitset without performing bounds checking against the vocabulary size. An attacker can exploit this by submitting multimodal audio requests containing tokens equal to the vocabulary size, leading to out-of-bounds writes. This action corrupts the sampler state of concurrent requests and alters the repetition penalty behavior.